BDU:2024-00734 (CVE-2024-22424)

Уязвимость интерфейса декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD, позволяющая нарушителю обойти ограничения безопасности и осуществить CSRF-атаку

Опубликовано: 2024-01-29

Описание

Уязвимость интерфейса декларативного инструмента непрерывной доставки GitOps для Kubernetes Argo CD связана с недостаточной проверкой подлинности выполняемых запросов. Эксплуатация уязвимости может позволить нарушителю , действующему удаленно, обойти ограничения безопасности и осуществить CSRF-атаку

Затрагиваемое ПО и версии

Argo CD (от 0.1.0 до 2.10.0-rc1 включительно)Argo CD (2.9.3)Argo CD (2.8.7)Argo CD (2.7.15)

Способ устранения

Использование рекомендаций:
https://github.com/argoproj/argo-cd/pull/16860
https://github.com/argoproj/argo-cd/security/advisories/GHSA-92mw-q256-5vwg

Оценка CVSS

Балл	7.6 — высокая опасность

Источники и патчи

https://github.com/argoproj/argo-cd/issues/2496 https://github.com/argoproj/argo-cd/pull/16860 https://github.com/argoproj/argo-cd/security/advisories/GHSA-92mw-q256-5vwg https://access.redhat.com/security/cve/cve-2024-22424 https://bugzilla.redhat.com/show_bug.cgi?id=2259105

Проверьте безопасность своего сайта и почты → Полная проверка домена